哪一種加密方式會(huì)更好呢？

最近出現(xiàn)的丟失含有客戶數(shù)據(jù)的現(xiàn)象說明，對存儲(chǔ)數(shù)據(jù)進(jìn)行加密是必要的。存儲(chǔ)行業(yè)已認(rèn)識(shí)到了肩負(fù)的重大責(zé)任：確保存儲(chǔ)數(shù)據(jù)的安全性再也不是別人的問題。不過，哪一種加密方式會(huì)更好呢？

過去幾個(gè)月，企業(yè)對客戶數(shù)據(jù)管理不善的報(bào)道不斷見諸報(bào)端。一些企業(yè)丟失的備份磁帶里面含有上百萬客戶的個(gè)人數(shù)據(jù)，這些公司在業(yè)界都聲名顯赫，其中包括美國銀行(Bank of America)、花旗銀行(Citibank)、Ameritrade Holding 公司、時(shí)代華納公司(Time Warner)等。誰也不想看到發(fā)生這種事。

確保存儲(chǔ)數(shù)據(jù)安全需要加密

位于美國華盛頓的波音員工信用合作社（Boeing Employees' Credit Union，BECU）的系統(tǒng)和管理安全員Daniel Chow說：“丟失備份磁帶對企業(yè)會(huì)產(chǎn)生極為不利的影響。你最不想看到的就是自己的大名因泄露客戶數(shù)據(jù)而上了頭版頭條。”為了盡量減少數(shù)據(jù)因磁帶丟失而被泄露的可能性，BECU采用了Decru公司的加密技術(shù)。前不久，Decru剛被Network Appliance公司收購。

這種舉動(dòng)背后的原因很簡單。經(jīng)驗(yàn)表明，試圖防止數(shù)據(jù)丟失的行動(dòng)將以失敗而告終。明智的策略就是確保數(shù)據(jù)經(jīng)過加密，那樣即使落入不法分子之手，也無法被讀取。

那么應(yīng)當(dāng)在哪個(gè)層面進(jìn)行加密呢？可以通過軟件加密，在應(yīng)用程序內(nèi)部、數(shù)據(jù)庫或者文件系統(tǒng)層面進(jìn)行加密。但如果處理不當(dāng)，基于軟件的加密會(huì)給公司帶來開銷增大的壓力。另一種辦法是，你可以使用專用設(shè)備甚至硬盤，在數(shù)據(jù)寫入磁盤過程中對數(shù)據(jù)進(jìn)行加密。大多數(shù)商業(yè)用戶似乎傾向于使用專用設(shè)備這種方法，因?yàn)椴坏奖悖倚阅芨?。還有一個(gè)原因是，這種即插即用的方法可以滿足法規(guī)遵從的要求。

企業(yè)戰(zhàn)略集團(tuán)的分析師Steve Duplessie說：“存儲(chǔ)安全終于引起了大家的注意，但關(guān)注力度還不夠大。隱私問題最終將會(huì)要求所有數(shù)據(jù)都要進(jìn)行加密——這將給整個(gè)IT行業(yè)帶來重大問題?！?

在過去，存儲(chǔ)領(lǐng)域和安全領(lǐng)域毫不相干。存儲(chǔ)人員滿足于讓安全人員處理防火墻、入侵檢測、病毒及其他外部威脅。不過人們很難對媒體報(bào)道視而不見。于是存儲(chǔ)行業(yè)已認(rèn)識(shí)到了要負(fù)的重大的共同責(zé)任：確保存儲(chǔ)數(shù)據(jù)的安全性再也不是別人的問題。

迄今為止，這種認(rèn)識(shí)已經(jīng)體現(xiàn)在行業(yè)媒體和商業(yè)會(huì)議簡報(bào)上，可是存儲(chǔ)安全方面的預(yù)算并沒有大幅增加。存儲(chǔ)安全技術(shù)和應(yīng)用軟件的采用率仍然很低。企業(yè)戰(zhàn)略集團(tuán)估計(jì)，去年整個(gè)存儲(chǔ)安全市場的規(guī)模達(dá)到5000萬美元。不過預(yù)計(jì)今年會(huì)翻一番，在今后幾年會(huì)大幅增長。尤其是，備份市場正在促使人們采用加密技術(shù)。

硬件加密被普遍采用

作為華盛頓州最大的信用合作社，波音員工信用合作社（BECU）每天晚上都要在位于Tukwila的總部以及位于Kent的呼叫中心備份數(shù)據(jù)。備份采用EMC公司的Legato Networker軟件，把6TB數(shù)據(jù)從BECU的存儲(chǔ)區(qū)域網(wǎng)（SAN）傳送到惠普ESL9000磁帶庫——SAN主要包括惠普公司的硬件和博科通信系統(tǒng)公司的交換機(jī)。每天早上，這些磁帶再由Iron Mountain公司送到異地——最近發(fā)生磁帶丟失的一些事件牽涉到這家總部設(shè)在波士頓的第三方存儲(chǔ)提供商。不過一些安全專家對于把磁帶送到異地的這種方式深表憂慮。

W. Curtis Preston 是位于馬薩諸塞州的一家存儲(chǔ)咨詢和服務(wù)公司——GlassHouse科技公司負(fù)責(zé)數(shù)據(jù)保護(hù)服務(wù)的副總裁。他說：“如果你用UPS的快遞卡車運(yùn)送備份磁帶，那么不要再這樣做了。如果你非得要把磁帶送到異地不可，就要確保磁帶已經(jīng)加過密。”

BECU使用Decru的DataFort專用設(shè)備，在送到異地之前先對所有備份數(shù)據(jù)進(jìn)行加密。Chow說：“你可不能盲目地信任第三方，因?yàn)槟闫鋵?shí)根本不知道人家會(huì)怎么處理你的磁帶。所以，我們要把確保數(shù)據(jù)安全視為己任?！?

BECU以單價(jià)2.5萬美元的價(jià)格購買了六個(gè)專用設(shè)備。放在總部的兩個(gè)SAN每個(gè)使用兩個(gè)專用設(shè)備，以確保冗余性；位于Kent的呼叫中心使用一個(gè)，位于Spokane的災(zāi)難恢復(fù)站點(diǎn)使用剩下一個(gè)。還需要許可證－密鑰管理服務(wù)器來為所有專用設(shè)備管理加密密鑰。Chow說，他傾向于采用硬件加密，原因在于他想避免性能受到任何影響。他說：“我們使用專用設(shè)備后沒有遇到任何開銷?！?

他還可以睡得更踏實(shí)些，因?yàn)檫@套系統(tǒng)在審查和測試期間運(yùn)行順暢。譬如說，有人拿到磁帶后，試圖從中抽取文件，結(jié)果得到的是一堆亂七八糟的東西。同樣，IT人員向?qū)彶椴块T證明了迅速解密的能力，并成功地通過了數(shù)據(jù)恢復(fù)測試。

雖然大多數(shù)組織在加密時(shí)最先從備份數(shù)據(jù)入手，不過像佛羅里達(dá)州的Payformance公司卻決定對各種數(shù)據(jù)都進(jìn)行加密。Payformance的應(yīng)用軟件允許公司可在內(nèi)部用打印機(jī)打印激光防偽支票、報(bào)表、票據(jù)及其他文檔。金融服務(wù)和醫(yī)療保健客戶非常關(guān)注機(jī)密的付款數(shù)據(jù)的安全性和隱私性。個(gè)人醫(yī)療信息必須嚴(yán)加保護(hù)。

Betancourt曾對微軟Windows Server 2003內(nèi)置的加密文件系統(tǒng)進(jìn)行了測試，結(jié)果對基于軟件的加密性能并不滿意。他說，加密出現(xiàn)延遲，哪怕延遲不到一個(gè)小時(shí)，也意味著迫使客戶等待。該公司最終決定采用NeoScale Systems公司的CryptoStor專用設(shè)備。使用故障替換模式的兩個(gè)設(shè)備可以直接連入該公司的2TB SAN的結(jié)構(gòu)里面——該SAN使用的是EMC CX500磁盤陣列、戴爾公司的磁帶驅(qū)動(dòng)器和McData公司的光纖交換機(jī)。公司在加入CryptoStor專用設(shè)備的前后對SAN進(jìn)行了測試，結(jié)果發(fā)現(xiàn)性能并沒有受到影響。所以，對各種數(shù)據(jù)進(jìn)行加密似乎再簡單不過了。

Payformance公司使用另一個(gè)CrytoStor設(shè)備用于磁帶加密。賽門鐵克公司的Veritas Backup Exec 10軟件可以通過該專用設(shè)備把數(shù)據(jù)發(fā)送到戴爾PowerVault 132T磁帶庫上。這些磁帶放到異地保存起來。那么，磁帶備份架構(gòu)為什么不用故障替換機(jī)制呢？原因是如果該專用設(shè)備失效，公司準(zhǔn)備好了暫時(shí)停止磁帶備份，進(jìn)行修復(fù)。但SAN不一樣，人們無法忍受SAN出現(xiàn)任何的停運(yùn)時(shí)間。

加密軟硬兼施

主要的存儲(chǔ)加密廠商如Decru、NeoScale、Kasten Chase Applied Research和Vormetric都提供基于專用設(shè)備的產(chǎn)品。不過，Vormetric提供的工具卻有別于其他產(chǎn)品，原因在于它既使用軟件進(jìn)行加密，又使用專用設(shè)備管理所需密鑰。

計(jì)算機(jī)游戲中間件公司Havok在愛爾蘭都柏林和美國舊金山的辦事處都使用Vormetric公司的CoreGuard安全系統(tǒng)（CoreGuard Security System）。 Havok的IT主管Alistair Duff說：“轟動(dòng)一時(shí)的《Half-Life 2》游戲被破解事件引起了我們的注意，因?yàn)檫@款游戲里面有我們編寫的代碼?！?

Havok對所要保護(hù)的數(shù)據(jù)有所選擇。它只保護(hù)游戲代碼及放在幾臺(tái)服務(wù)器和桌面電腦上的其他重要數(shù)據(jù)?？梢詫o態(tài)數(shù)據(jù)和傳輸中數(shù)據(jù)進(jìn)行加密。如果你在使用PC，倘若想訪問某個(gè)文件，文件在網(wǎng)絡(luò)上傳輸過程中進(jìn)行解密，然后以明文格式出現(xiàn)在你的機(jī)器上，前提是你要有所需的授權(quán)級(jí)別。

可以通過應(yīng)用程序、用戶和主機(jī)限制訪問。CoreGuard安全系統(tǒng)的軟件裝在每臺(tái)受保護(hù)的機(jī)器上，而兩個(gè)辦事處都有一個(gè)專用設(shè)備。該系統(tǒng)還為Duff防御病毒帶來的威脅提供了另一道保護(hù)機(jī)制。即使特洛伊木馬進(jìn)來，它也無法加以安裝及運(yùn)行，因?yàn)橄到y(tǒng)不允許它運(yùn)行。

經(jīng)濟(jì)因素和法規(guī)要求左右加密的進(jìn)程

經(jīng)濟(jì)因素恐怕是加密技術(shù)還沒有真正流行起來的主要原因。由于數(shù)據(jù)保護(hù)裝置的單價(jià)高達(dá)2萬美元以上，或者每個(gè)軟件加密許可證高達(dá)2000美元，成本不菲。但用戶要想到另一個(gè)問題，需要多少費(fèi)用才能彌補(bǔ)客戶數(shù)據(jù)泄露所造成的破壞與影響呢？

波音員工信用合作社（BECU）的Chow說：“像Iron Mountain和美國銀行這些公司因?yàn)樽罱陌踩录u(yù)受損。所以，決定投資回報(bào)的因素很簡單——企業(yè)的信譽(yù)值多少錢？”

盡管成本高昂，但采用加密技術(shù)可能很快就會(huì)成為不可避免的事情。美國加利福尼亞等州已經(jīng)通過了相關(guān)法律：哪家公司不對數(shù)據(jù)進(jìn)行加密，將面臨沉重的處罰。其他州也在亦步亦趨；一項(xiàng)聯(lián)邦法規(guī)也在探討當(dāng)中。雖然這些法律通常并不要求加密，但加利福尼亞的SB 1386卻要求公司向媒體及可能受影響的所有客戶披露安全事件——這對公司形象來說無異是一場災(zāi)難。

企業(yè)戰(zhàn)略集團(tuán)的Jon Oltsik說：“要是美國銀行的磁帶經(jīng)過加密，它也許用不著披露失竊事件?，F(xiàn)在是停止討論安全、改而開始專門調(diào)撥預(yù)算去解決這個(gè)經(jīng)營風(fēng)險(xiǎn)的時(shí)候了。” （CCW）